0:00:05 Emily Wearmouth : Bonjour et bienvenue dans le podcast Security Visionaries. Je suis votre hôte, Emily Wearmouth, et je suis accompagnée aujourd'hui par Seb Leal Bennett, qui dirige l'architecture et le cloud pour une grande banque d'investissement européenne. Il a passé toute sa carrière jusqu'à présent dans les services financiers, ce qui, nous en conviendrons probablement, constitue l'un des environnements technologiques les plus strictement réglementés et à plus fort enjeu que l'on puisse trouver. C'est un pro de l'architecture pour le cloud, la résilience et la sécurité, des domaines où la marge d'erreur est probablement nulle. Bienvenue dans l'émission, Seb.
0:00:36 Seb Leal Bennett : C'est formidable. Merci.
0:00:36 Emily Wearmouth : C'est un plaisir de vous recevoir.
0:00:39 Seb Leal Bennett : J'ai hâte d'y être.
0:00:40 Emily Wearmouth : J’ai des questions pointues à poser et je vais d’ailleurs entrer directement dans le vif du sujet, car ce point hautement réglementé me semble vraiment pertinent. Et c’est l’une des raisons pour lesquelles je suis vraiment ravie que vous ayez accepté de participer. Ce par quoi je voulais commencer, c’est de réfléchir à ce que cela signifie réellement lorsque vous concevez une architecture pour le cloud et que vous avez toutes ces réglementations qui prennent probablement la poussière sur une étagère quelque part, les avez-vous à l’esprit lorsque vous commencez, prenez-vous en compte les contraintes qu’elles imposent pour ensuite réfléchir à ce qui est possible dans ce cadre ? Ou concevez-vous ce qui vous semble être la bonne approche pour la soumettre ensuite à un filtre : attendez une minute, est-ce que cela respecte les réglementations ? Quel est l’ordre dans lequel vous envisagez les choses ?
0:01:18 Seb Leal Bennett : C’est clairement la première option. Il ne s’agit pas de construire et de voir ce qui se passe. C’est vraiment le fait de veiller à ce que les services que nous utilisons dans le cloud soient soumis à un processus extrêmement rigoureux en ce qui concerne ce que vous pouvez ou ne pouvez pas faire avec eux, les données que vous pouvez ou ne pouvez pas y stocker et les façons dont vous pouvez les utiliser. Vous savez donc que les services dont vous disposez pour concevoir ou développer ont déjà été approuvés. Cependant, il vous incombe toujours, lorsque vous utilisez ces services, de veiller à les utiliser correctement. Par conséquent, si vous avez des préoccupations en matière de juridiction ou de souveraineté des données, veillez à ce que le service que vous utilisez se trouve dans la bonne zone, dans la bonne région, et vous pourrez le démontrer. Nous sommes donc très réglementés et nous veillons à ce que tous les services que nous utilisons respectent ces mêmes réglementations.
0:02:04 Seb Leal Bennett : Et nous avons des équipes spécialisées qui s'en occupent au jour le jour, et c'est un processus très difficile. Je l'ai fait une fois pour l'un de nos services et c'est du genre, oh, ces gars font beaucoup de choses.
0:02:13 Emily Wearmouth : Vous pensez que cela vous ralentit ? Si vous comparez votre secteur à d'autres secteurs, cela limite-t-il la vitesse à laquelle vous pouvez adopter les innovations ?
0:02:24 Seb Leal Bennett : Un petit peu, je suppose, mais n'oubliez pas que pour les grandes organisations, vous pourriez par exemple être une grande entreprise technologique et être ralenti parce que vous devez suivre votre propre politique et vos propres processus. Mais nous devons également nous assurer que nous l'utilisons correctement, car si nous faisons fausse route, si nous manquons le coche et créons des incidents ayant un impact sur le marché, ou si nos données sont compromises, les dégâts sur la réputation sont tout simplement colossaux. Nous ne pouvons donc pas nous le permettre. Il vaut donc mieux avancer prudemment et régulièrement, réussir du premier coup, plutôt que de devenir l'exemple qu'un organisme de réglementation brandit en disant : « Regardez ce qu'ils ont fait de travers. » Personne n'a envie d'être cette personne.
0:02:58 Emily Wearmouth : Je vous ai présenté comme spécialiste du cloud et de l'architecture. Quelle part de ce que vous faites se trouve dans le cloud ? Êtes-vous entièrement dans le cloud ou travaillez-vous dans des environnements où vous avez un mélange hybride entre le site local et le cloud ?
0:03:14 Seb Leal Bennett : Cela dépend beaucoup de l'application et de la technologie disponible. Par conséquent, tout ce qui présente une faible latence restera sur site et se trouvera dans les centres de données (datacenters) situés juste à côté. Si vous avez quelque chose qui est simplement une application moyenne à trois niveaux par exemple, vous avez votre niveau intermédiaire et votre niveau dorsal (back-end) qui peuvent aller dans le cloud, alors cela peut aller là-bas. Tant que cela a un sens. Ne vous contentez pas de déployer des solutions sous prétexte qu’un indicateur vous impose d'y transférer 10 % ou 100 % de vos applications. Tant que le poste a du sens, foncez.
0:03:46 Emily Wearmouth :Et quelle complexité cette approche hybride apporte-t-elle ? Si vous ne jurez que par une seule approche ou par une autre, j'imagine que vous concevez une approche unique, et vous dupliquez immédiatement deux approches différentes, deux systèmes et structures différents. Où se situent les complexités dans tout cela ?
0:04:04 Seb Leal Bennett : Eh bien, encore une fois, tout dépend de l'approche. Vous pourriez donc opter pour une approche hybride ; cette approche hybride consisterait par exemple à placer votre environnement hors production sur le cloud, car vous pouvez l'éteindre, être efficace et faire preuve d'élasticité. Ce n'est pas le cas pendant les soirées ou les week-ends, vous n'en avez pas besoin. Éteignez-le pour économiser de l'argent. Cela ne peut pas être mis en production sur le cloud parce que vous n'avez pas les services dont vous avez besoin. Vous maintenez donc ces deux architectures, ou vous pourriez opter pour une approche consistant à placer toutes les applications et tous les environnements sur site ou dans le cloud. Par conséquent, tout dépend réellement de l'architecte et de l'équipe pour prendre la bonne décision dans ce cas. Nous pouvons guider, aider, pointer dans la même direction et leur fournir des informations, mais ce n'est pas du « tout-en-un » ou une solution universelle. Nous comptons énormément sur nos architectes pour nous aider à prendre ces bonnes décisions.
0:04:53 Emily Wearmouth :Et dans quelle mesure y a-t-il un avantage ou un désavantage à adopter cette approche de prise de décision décentralisée, où vous n'imposez pas une solution unique à l'échelle de toute l'organisation, mais où vous étudiez chaque cas individuellement, car les besoins de chacun sont différents ? Dans quelle mesure cela introduit-il des risques ou le potentiel d'une architecture lourde où tout est personnalisé et unique pour chaque cas d'usage ?
0:05:21 Seb Leal Bennett : Eh bien, la façon de contourner cela — non pas de contourner, de résoudre cela, désolé — passe simplement par de bonnes lignes directrices, de bonnes normes et de bons modèles. Ainsi, vous évitez que chaque équipe n'ait la même conversation 30 fois, car la première équipe qui fait valider sa conversation par le processus d'architecture et de gouvernance établit le modèle qui sera répété. Sinon, vous vous retrouvez avec environ 30 équipes et probablement 60 manières différentes de faire la même chose, ce qui n'est guère efficace. Et c’est là que l’architecture et la gouvernance jouent un rôle vraiment important. Les gens pensent que nous vous ralentissons, mais d'un autre côté, si nous vendons la mèche pour ainsi dire, il est un peu difficile de revenir en arrière.
0:05:58 Emily Wearmouth :vous avez parlé de souveraineté tout à l'heure, et je voulais aborder ce sujet car c'est le plus récent. Nous avons commencé l'année et l'IA était le terme à la mode. L'IA ne va nulle part, mais on a l'impression que la souveraineté est devenue le terme à la mode, qu'il s'agisse de la souveraineté de l'IA ou, plus largement, de la souveraineté numérique ou des données. En tant qu'organisation internationale, comment envisagez-vous cet intérêt croissant pour la souveraineté ?
0:06:24 Seb Leal Bennett : Je pense qu'en fait, notre situation actuelle nous convient tout à fait, car nous avons toujours eu, depuis l'origine de notre organisation, ce concept de localisation des données (où elles peuvent ou ne peuvent pas se trouver). Ce n'est donc rien de New pour nous. Nous sommes soumis à des réglementations qui régissent ce que nous pouvons ou ne pouvons pas faire, et cela a toujours été le cas et le sera toujours. C'est donc vraiment très important. Vous ne pouvez pas laisser vos données sortir de la zone autorisée, qu'il s'agisse des données suisses, du Liechtenstein ou de Taïwan. Vous devez vous assurer que les services que vous utilisez ont également été validés par l'autorité de régulation de cette région pour garantir que ce fournisseur de services cloud vous met à disposition les bons outils. Veillez généralement à le faire correctement avec les applications. Et si les données dépassent les limites, vous devez disposer des outils nécessaires pour le détecter, le constater, y remédier et très probablement faire un auto-signalement auprès des régulateurs en disant : « Nous avons commis une erreur. »
0:07:18 Seb Leal Bennett:Nous sommes désolés. Analysons cela en détail. Ne cachez jamais
0:07:21 Emily Wearmouth:Rien. Vous avez parlé de souveraineté il y a un instant, et je voulais y revenir car c'est un sujet qui me semble très brûlant en ce moment. Nous avons assisté récemment à quelques incidents au niveau macro-politique montrant ce qui pourrait se passer si certaines nations décidaient de contrôler les exportations commerciales de certains de leurs services numériques. C'est devenu en quelque sorte un débat sur la résilience, où la souveraineté aide à cet égard : si tout se passe localement au sein de votre marché souverain, vous ne subirez pas les pressions liées aux changements réglementaires d'autres nations. Mais bien sûr, la nature mondiale de l'infrastructure lui confère une résilience d'une autre manière : en cas de pannes dans certains pays en raison de ce que l'on appelle souvent des événements de type cygne noir, vous souhaitez disposer de cette sauvegarde, proche mais peut-être située de l'autre côté d'une frontière. Comment concevez-vous la souveraineté et comment abordez-vous les choses ?
0:08:15 Emily Wearmouth :S'agit-il ou non de résilience ?
0:08:18 Seb Leal Bennett :Intéressant. La loi vous interdira de laisser les données quitter une certaine juridiction. Vous n'avez pas le droit de le stocker en dehors de l'organisme de régulation. Je veux dire que la Chine est très stricte au niveau des provinces. Il est évident que le gouvernement suisse est très strict, tout comme le Royaume-Uni dans certains domaines. Vous devez donc faire preuve de résilience dans le cadre de la loi. Il existe donc de multiples datacenters ou régions, un fournisseur de services cloud au Royaume-Uni, en France, en Suède et en Norvège. Ils sont tous là. Vous devez donc savoir où se trouvent vos données et dans quelles zones elles se situent, et par conséquent agir dans le respect de la loi en utilisant ces services, car vous ne pouvez pas les stocker ailleurs. Vous avez également plus d'un fournisseur de services cloud et vous disposez probablement aussi de vos propres datacenters sur site. S'il est donc très important que vous ne puissiez pas survivre à la panne d'une région ou d'une zone, vous pouvez soit effectuer une sauvegarde en interne, s'il s'agit de données, c'est possible.
0:09:18 Seb Leal Bennett:Ou adopter une approche multi-cloud, qui s'avère coûteuse. Je le sais parce que vous avez des coûts d'entrée et de sortie des données, mais cela dépend vraiment de la criticité de ce service et de la manière dont vous devez concevoir l'architecture de ce service pour pouvoir faire face, qu'il s'agisse de catastrophes géopolitiques ou naturelles là où se trouvent les datacenters. Et c'est pourquoi il est également très important de comprendre, dans la mesure du possible, l'emplacement des zones ou au moins la distance entre elles auprès de votre fournisseur de services cloud. Donc, si vous savez qu'il y a une inondation dans votre zone 1, vous savez que si vos données sont également répliquées dans la zone 2 ou la zone 3, tout va bien. Mais si vous avez des fournisseurs de services cloud qui les regroupent tous de manière assez proche ou deux sur trois, vous devez savoir lesquels sont proches pour vous assurer que votre sauvegarde est dans l'autre. Et c'est vraiment très important.
0:10:03 Emily Wearmouth :Et comment obtenez-vous ce genre d'informations de la part de vos fournisseurs ? Et pensez-vous que vous obtenez plus d'informations si vous appartenez à une grande organisation financière que ce que certains de nos auditeurs obtiennent peut-être dans des organisations plus petites ?
0:10:14 Seb Leal Bennett :Je pense que cela dépend de votre relation avec le fournisseur de services cloud. Parfois, vous pouvez obtenir des informations. L'emplacement réel, non, c'est vraiment impossible à obtenir, mais vous pouvez leur demander quelle est la distance entre eux et je ne pense pas que ce soit une question déraisonnable à leur poser. Le fournisseur de services que nous utilisons, car lorsque vous créez un abonnement, vous pouvez indiquer les zones que vous souhaitez, mais pour chaque abonnement, la zone 1 sera une zone physique réelle différente sous le capot. Par conséquent, ils n'ont pas tout le monde qui va dans la zone 1 et la zone 3, par exemple. Et cela évite que tout le monde ne s’entasse dans les mêmes zones, mais elles proposent des API pour découvrir ce qui se cache réellement derrière, quelle est la zone physique ? S’agit-il de la zone un, deux ou trois ? Il est donc possible que votre zone trois corresponde en réalité à la zone physique deux. Vous pouvez donc utiliser ces informations pour déterminer l’emplacement physique de l’élément.
0:11:02 Seb Leal Bennett :Ensuite, grâce aux autres informations, vous pouvez faire les bons choix quant à l’endroit où vous stockez vos données.
0:11:07 Emily Wearmouth :L’étiquetage semble presque inutilement confus. J’ai l’impression qu’on pourrait apporter un peu de clarté sur ce point.
0:11:15 Seb Leal Bennett :C’est le cas, mais cela répond à une très bonne raison. Il s’agit de l’empêcher de se ruer en masse sur les zones un et trois, par exemple, pour laisser ensuite la zone deux vide. Afin que vous puissiez en comprendre les raisons.
0:11:26 Emily Wearmouth :Ouais. Je pense que c’est une question très utile à poser si vous savez que certains éléments doivent être masqués pour des raisons de sécurité ; poser des questions sur la distance entre les éléments peut s’avérer très utile pour certains de nos auditeurs.
0:11:39 Seb Leal Bennett :Et vous n'êtes pas obligé d'avoir exactement, est-ce un ou deux kilomètres ? Est-ce plus de 10 ? Est-ce plus de 30 ? De sorte que vous puissiez réellement obscurcir les informations qu'ils doivent vous fournir afin que vous puissiez prendre une décision précise et éclairée.
0:11:52 Emily Wearmouth :Et disposez-vous, en tant qu'organisation, ou préconisez-vous des lignes directrices sur ce que vous estimez acceptable, ou est-ce un peu plus fluide et observez-vous ce qu'ils proposent pour ensuite déterminer le risque en fonction du cas d'utilisation particulier ?
0:12:09 Seb Leal Bennett :Nous avons nos propres politiques et procédures, nous savons donc ce qui est acceptable et la distance entre les datacenters, car lorsque nous étions tous sur site, nous avions des distances entre nos datacenters et nous essayons de respecter la même norme, voire plus, lorsqu'il s'agit de nos fournisseurs de services cloud.
0:12:25 Emily Wearmouth :Je suppose que sur certains marchés avec des masses terrestres plus importantes, cela pourrait être plus facile alors. Je veux dire, nous sommes tous les deux assis au Royaume-Uni. Le Royaume-Uni n'est pas l'un des plus grands pays du monde. La masse terrestre est assez restrictive.
0:12:37 Seb Leal Bennett :C'est le cas. Vous finissez par vous trouver à l'est ou à l'ouest du pays, ou de part et d'autre de Londres, par exemple. C'est simplement parce que vous commencez à examiner les événements qui pourraient provoquer la panne des deux datacenters. Et en toute honnêteté, si cela se produit, je pense que nous aurons des problèmes plus graves à régler que de déterminer comment configurer tel ou tel service.
0:12:55 Emily Wearmouth :Oui, tout à fait. Pouvons-nous parler du zero trust ?
0:12:59 Seb Leal Bennett :Oui, nous pouvons essayer.
0:13:01 Emily Wearmouth :Nous avons donc brièvement évoqué la gestion de cet environnement hybride par vos soins. Je me demande si, lorsque vous examinez les accès et les infrastructures d'accès, vous devez également adopter une approche hybride, si vous appliquez des politiques zero trust ou les préconisez, et comment vous gérez cela dans l'ensemble d'un environnement hybride.
0:13:21 Seb Leal Bennett :Les systèmes d'authentification et d'autorisation sous-jacents sont donc les mêmes. Nous avons nos normes bancaires, nous avons nos systèmes bancaires, et ils s'intègrent de manière native avec ceux du fournisseur cloud. Par conséquent, les droits d'accès ne sont pas contrôlés dans trois emplacements différents. Vous disposez d'une seule version de la vérité, d'une source unique de la vérité, et vous devez vous assurer de respecter le principe du moindre privilège. Vous ne donnez donc pas l'accès à tout le monde simplement parce que c'est facile. Vous leur donnez les informations et l'accès dont ils ont besoin pour accomplir leur rôle, et c'est tout. Sinon, sept choses différentes peuvent mal tourner et vous ne souhaitez tout simplement pas vous retrouver dans cette position. Oui, ne fragmentez pas vos droits d'accès et vos systèmes. Vous n'avez pas un environnement cloud d'un côté et un environnement sur site de l'autre, vous en avez un seul et c'est votre version de la vérité.
0:14:07 Emily Wearmouth :Puis-je poser une question sur l'IA ? Certaines personnes poussent un soupir lorsqu'on prononce le mot IA. C'est un sujet incontournable, car je suis curieux de savoir dans quelle mesure ce qui relève de votre responsabilité... Je suppose que vous travaillez avec une équipe très importante aux responsabilités fortement morcelées. Dans quelle mesure l'IA influence-t-elle vos priorités actuelles ou modifie-t-elle votre façon de planifier les choses ?
0:14:31 Seb Leal Bennett :L'IA est partout. Vous ne réalisez pas où l'IA peut vous aider. C'est complètement hors sujet, mais l'autre jour, je parlais à quelqu'un de l'IA, et sa fille aime la danse et le chant. Et je me suis dit : « Bon, où est-ce que l'IA peut aider pour ça ? » Et il disait qu'en fait, pour le chant, c'est parce qu'elle perçoit la voix comme une tonalité. Et tout à coup, sa fille est complètement sceptique quant à tout ce qui pourrait impacter sa carrière en matière d'IA, et se met soudainement à utiliser l'IA pour parfaire sa justesse en chant. Je ne peux pas encore activer la vidéo parce que ça sature le flux, mais vous ne réalisez pas vraiment comment l'IA peut aider et vous devriez commencer à l'utiliser. Donc, si vous ne l'utilisez pas dans votre vie professionnelle et aussi dans votre vie personnelle, il y a des choses chez vous pour lesquelles vous pouvez utiliser l'IA. Exemple parfait, j'ai récemment récupéré une série de fichiers journaux pour un système de vidéosurveillance qui n'arrête pas de se déconnecter.
0:15:21 Seb Leal Bennett :Je les ai simplement téléchargés sur Claude en lui demandant ce qui se passait. J'ai pu identifier trois pannes et l'outil a réussi à cibler que j'avais mal configuré un VLAN, ce qui est formidable. Je n'aurais jamais pu faire ça de mon côté. Ça aurait fait l'objet d'un ticket de support. Mais revenons au travail.
0:15:35 Seb Leal Bennett :Essayez, bricolez, expérimentez. Qu'est-ce qui est important, qu'essayez-vous de découvrir ? Car si vous faites quelque chose plus d'une ou deux fois, il est presque garanti qu'un bon prompt pourra vous aider. Et ce qui échappe souvent aux gens, selon moi, c'est qu'ils essaient d'écrire l'invite eux-mêmes, puis utilisent l'IA pour l'écrire, et cela peut vraiment vous aider à avancer aussi. Ainsi, dans le domaine de l'architecture, vous pouvez commencer par dire : « Eh bien, en réalité, si j'ai tous ces principes, modèles, balises et exigences d'entreprise, puis-je les formaliser afin de pouvoir exécuter quelques agents sur mon arborescence de code, mes documents d'architecture de solution ou mes documents de conception ? » Et l'avantage, c'est qu'au lieu d'essayer, en tant qu'architecte, de trouver la faille de conception dans un document de 30 pages, l'agent IA peut vous dire : « En fait, nous pensons que vous devriez vous concentrer sur tel, tel et tel point, car vous n'êtes pas là pour valider machinalement un très bon comportement.
0:16:26 Seb Leal Bennett :Vous êtes là pour comprendre les exceptions, et il vaut mieux avoir une conversation de dix minutes sur les raisons pour lesquelles vous allez à l'encontre de la stratégie plutôt qu'une conversation de quarante minutes sur le fait que vous maîtrisez le BCM.
0:16:37 Emily Wearmouth :Oui. Et qu'en est-il de l'utilisation de l'IA au sein de l'équipe ? Voyez-vous un changement dans votre façon d'allouer les ressources à long terme pour l'équipe, dans l'apparence de ces modèles, dans la manière dont vous pourriez intégrer de New talents et dans la façon dont cela pourrait modifier votre regard sur ces New talents ?
0:16:55 Seb Leal Bennett :Je ne vois pas l'IA comme un remplacement de l'équipe. L’intelligence artificielle est là pour aider l’équipe à être plus efficace et efficiente, tout en apportant un point de vue opposé, car parfois, lorsque vous lui posez une question, elle vous donne une réponse, puis ajoute « et aussi ». Et parfois, ce « et aussi » vous pousse à vous dire : « Oh, attendez une seconde. » Je peux m’orienter dans une direction différente à ce sujet. « Vous pouvez donc l’utiliser soit pour effectuer des tâches telles que la simple rédaction d’e-mails ou leur modification, soit pour l’intégrer à vos équipes ou travailler avec vous et vous faire part de retours, voire vous apporter des solutions et se montrer plus autonome. » Il existe donc de nombreux niveaux différents auxquels vous pouvez intégrer l’intelligence artificielle. C’est une question de ce avec quoi vous êtes à l’aise, puis de ce que vous voulez faire ensuite.
0:17:33 Emily Wearmouth :Je dirais que parfois, c’est ce avec quoi vous n’êtes pas à l’aise. La semaine dernière, j’étais un peu chafouin et j’ai utilisé Claude, et j’ai demandé à Claude d’arrêter d’être aussi obséquieux. Il m’avait déjà cerné il y a quelque temps et ce n’était pas trop mal, mais cela me tracassait vraiment. Et je lui ai demandé d’être carrément grossier. Et pendant toute la semaine dernière, il a été tellement agressivement grossier que j’ai dû changer de méthode et lui dire : « Non, tu peux être un peu plus gentil avec moi. » Merci beaucoup. « Mais au cours de cette semaine, il suggérait des choses qu'à mon avis, il n'aurait pas suggérées auparavant. » Certains d'entre eux avaient complètement tort. Ils cherchaient simplement à argumenter pour le plaisir d'argumenter. Mais parfois, le fait de faire tomber la barrière de ce avec quoi j'étais à l'aise et de la manière dont j'étais prêt à ce qu'on me parle, eh bien, il y a eu quelques passages où je me suis dit, oui, cela ne se serait pas produit cette semaine si je ne lui avais pas permis de dire des grossièretés, par exemple.
0:18:18 Seb Leal Bennett :Absolument. Tout réside donc dans le prompt et dans la façon dont vous souhaitez qu'il collabore avec vous. Vous pouvez donc dire : « Ne soyez pas toujours d'accord avec moi. Je n'ai pas toujours raison. Votre rôle en tant que bot ou agent particulier est de ne pas être d'accord avec moi, mais de travailler contre moi, tout en trouvant des domaines que nous n'avons pas explorés. « Et il suffit de se souvenir de poser ces questions et d'utiliser ces prompts, et parfois cela peut prendre un certain temps. Vous avez donc beaucoup de personnes qui posent les mêmes questions, vous disposez d'un répertoire de prompts, vous copiez, vous collez, vous l'importez, en quelque sorte. Il y a donc tant de choses que nous pouvons faire dans ce domaine et nous ne faisons littéralement qu'effleurer la surface.
0:18:50 Emily Wearmouth :Faites-vous quelque chose de systématique avec votre équipe, de manière informelle, peut-être même juste pour développer ces connaissances au sein de l'équipe ? Car ce que je constate, c'est que certaines personnes sont très à l'aise et prennent de l'avance, et il est alors tout à fait judicieux de mettre en place des structures pour aider celles qui le sont moins ou disposent de moins de temps pour bricoler. Peut-être ont-ils des obligations qui font qu'ils ne peuvent pas passer quatre heures un week-end à se perfectionner pour s'assurer que l'équipe avance d'un seul homme. Avez-vous des projets en cours de construction ?
0:19:16 Seb Leal Bennett :Je pense qu'il est important de partager. Donc, avec mon équipe, je me réuni peut-être pendant deux semaines sans rien demander, et je commence par dire : « Eh bien, qui fait quoi en matière d'IA ? Dites-moi ce qui a été intéressant et ce que vous avez fait », en quelque sorte. Et cela ne doit pas nécessairement se limiter à l'environnement de travail. C'est aussi à la maison : où avez-vous réussi ? Où avez-vous échoué ? Et qu'avez-vous appris ? Il s'agit donc simplement d'en parler, de comprendre ce qui ne fonctionne pas. Et il est évident que certaines personnes auront un peu plus de temps libre ou prendront le temps de s'y investir pour aller plus loin. Et encore une fois, ils peuvent revenir et dire : j'ai fait ceci, vous pouvez donc tous en tirer des leçons. Je pense donc qu'il est vraiment important de le faire ensemble, en équipe, et pas seulement avec une ou deux personnes qui foncent en avant, mais je crois que c'est la voie à suivre.
0:19:59 Emily Wearmouth :Oui. Je voulais parler de sécurité, du podcast Security Visionaries. Je manquerais à tous mes devoirs si je n'avais pas une question spécifique liée à la sécurité. Et je sais que vous ne faites pas partie de l'équipe de sécurité, vous travaillez aux côtés de professionnels de la sécurité, mais en tant que responsable de l'architecture, je me demande si l'équipe de sécurité est présente avec vous dès le départ ou si vous les faites intervenir, à quel stade du processus vous avez tendance à impliquer la sécurité, et si vous considérez que votre approche est axée sur la sécurité dès la conception (security by design) ou si ce n'est peut-être pas tout à fait le cas si vous les faites intervenir un peu plus tard. Qu'entendez-vous
0:20:35 Seb Leal Bennett :par les faire intervenir plus tard ? Parce que vous n'êtes pas en train de créer une application de votre côté en vous disant : « Je dois ajouter l'authentification et l'autorisation maintenant », car en tant qu'entreprise, vous disposez de normes strictes et de modèles de code réutilisables qui intègrent la sécurité par défaut. Je pense que lorsque vous intégrez des logiciels open source (OSS) ou d'autres produits commerciaux, la sécurité revêt une importance capitale et doit être prise en compte dès le tout début. Vous devez donc vous demander : « Comment devrions-nous intégrer ce système de droits dans le système de la banque ? » Comment nous assurons-nous qu'il s'agit du niveau de privilège minimal afin de ne pas sur-habiliter les individus ? » J'ai vu des situations où des personnes ont omis un élément par erreur et n'ont pas tout à fait compris le modèle d'intégration, et de ce fait, on leur a accordé des droits leur permettant d'élever leurs collègues au privilège d'administrateur. Évidemment, cela ne se produit pas. Ils ne le font pas intentionnellement.
0:21:35 Seb Leal Bennett :Ils ont simplement oublié de l'inclure. Je pense donc que la sécurité est vraiment très importante. Je ne pense pas qu'il existe une approche unifiée à ce sujet, mais collaborer avec votre équipe RSSI et veiller à ce que la manière dont vous intégrez les applications dans la banque soit pensée dès le tout début est primordial. Sinon, vous allez droit vers des problèmes. Mais nous l'avons constaté lors de l'émergence de la mentalité CloudFirst : des gens ont par inadvertance laissé leur espace de stockage blob accessible au public avec tous leurs mots de passe dessus ou autre. Il est donc très important de bien boucler la question dès le début, sous peine de rencontrer des problèmes. Et nous avons bouclé l'affaire. Ces gars sont brillants. Ils s'occupent de tout. Et c'est pourquoi, lorsque vous utilisez les services de notre fournisseur et que vous les rendez disponibles, ils font partie de cet ensemble et veillent à ce que vous puissiez verrouiller le tout, garantir qu'aucune fuite de données ne se produise, et ainsi de suite.
0:22:23 Seb Leal Bennett :et par conséquent, lorsque vous l'utilisez en tant qu'ingénieur, vous avez l'assurance de l'utiliser de la bonne manière.
0:22:29 Emily Wearmouth :C'est intéressant, car il m'arrive parfois de poser cette question à quelqu'un et, tout comme vous, cette personne se montre légèrement incrédule face à ma formulation. Et la raison pour laquelle je pose la question ainsi, c'est qu'il m'arrive de la poser à un professionnel de la sécurité par exemple, qui me répond : « C'est tellement frustrant dans mon organisation. Les projets sont déjà bien avancés avant même que la sécurité ne soit impliquée. » C'est donc quelque chose qui arrive, mais c'est formidable d'apprendre que ce n'est pas votre expérience et on a l'impression que vous avancez d'un seul bloc avec la sécurité à vos côtés.
0:22:55 Seb Leal Bennett :Oui, nous y sommes obligés. Impossible de se tromper.
0:23:22 Seb Leal Bennett:Oui, tout à fait. Nous gardons donc toujours un œil sur ce point et dès qu'une New technologie apparaît, comme le cloud, tout le monde se lance. C'est un peu comme des enfants dans un magasin de bonbons, en somme. Mais si vous ne mettez pas en place de mesures pour vous assurer que vous agissez correctement, vous finirez par dépenser trop. Et vous constaterez qu'à mesure que les organisations migrent vers le cloud, elles exécutent à la fois leur infrastructure locale (on-premise) et leur infrastructure cloud. Vous doublez donc immédiatement vos coûts. Vous devez donc vous débarrasser de votre infrastructure sur site dès que possible. Cependant, même dans le cloud, les coûts peuvent être élevés si vos équipes ne savent pas ce qu'elles font. Ainsi, par exemple, si vous envisagez d'acquérir du stockage sur site, vous pouvez vous demander de quelle quantité vous avez besoin. De quel type avez-vous besoin ? Où en avez-vous besoin ? Et avez-vous besoin d'une sauvegarde ? Vous avez environ quatre ou cinq questions que l'on vous pose.
0:24:06 Seb Leal Bennett :Lorsque l'on commence à s'intéresser au stockage dans le cloud, il y a environ 15 à 20 questions, comme le nombre d'IOPs en lecture/écriture continues dont vous avez besoin. Historiquement, les ingénieurs ne sont pas faits pour répondre à ces questions, nous allons donc nous tromper. Et pour cette raison, nous surdimensionnons. Et comme nous surdimensionnons, nous payons pour cela. Il vous faut donc une forme de gouvernance, un forum ou un mécanisme pour examiner vos coûts. Vous dites : avons-nous surprovisionné ? Pouvez-vous identifier où vous pouvez réaliser des économies ? Par exemple, vous stockez toutes vos données sur du stockage chaud alors que du stockage froid suffirait. Il y a une grande différence de prix. Il se peut que votre environnement hors production fonctionne vingt-quatre heures sur vingt-quatre et sept jours sur sept. Il n'est probablement pas nécessaire qu'il fonctionne le soir ou le week-end, alors éteignez-le et allumez-le lorsque vous en avez besoin. Et il y a tellement de façons différentes d'envisager les économies d'argent.
0:25:54 Seb Leal Bennett:Par conséquent, puisque les gens disent que le cloud n'est pas une question de coût, c'est une question d'efficacité. Eh bien, cela peut être une question de coût si vous concevez correctement les applications et vous comportez de la bonne manière dès le départ dans le cloud. Et donc, sortir cette loupe, trouver ces économies et les partager. Ce n'est pas seulement à une personne, à une seule équipe de le faire elle-même. Vous devez disposer de mécanismes où, disons, en fait, nous venons d'économiser 10 % de notre coût annuel. Qui d'autre peut en bénéficier ? Et puis trouver des moyens d'automatiser cela. Donc, plutôt que de dire, faites ces cinq étapes, vous apportez les données aux gens en disant, nous pensons que vous avez réalisé une économie de 10 % là-dessus, et ensuite vous faites un suivi. Exigez un OKR, imposez-le par le haut, et vous seriez surpris parce que je pense qu'en moyenne, 30 % de toutes les dépenses cloud sont du gaspillage. Waouh. Nous y investissons massivement.
0:25:42 Seb Leal Bennett :Chaque année, nous avons un OKR que nous fixons dans toute la banque, nous le suivons, nous le poursuivons, nous l'examinons et nous le partageons, et c'est la meilleure chose à faire.
0:25:52 Emily Wearmouth :Et pensez-vous que la majeure partie de ces 30 % correspond à un surdimensionnement ou s'agit-il de services qui ne sont pas du tout utilisés ?
0:26:03 Seb Leal Bennett :C'est un mélange des deux. Il s’agit principalement d’un surprovisionnement. L’autre jour, j’examinais un peu les statistiques, car depuis 2023, nous assurons la gestion de la quantité de ressources économisées et nous les avons catégorisées. La majeure partie, ou pour être exact, environ un tiers, voire plus d’un tiers, provenait de la surallocation. À présent, nous commençons à désactiver des éléments. Nous constatons que cela représente également un facteur très important. Mais veillez également à ce que votre application soit native du cloud. Je veux dire, tous les fournisseurs de cloud disent de concevoir une architecture solide, de la rendre native du cloud, élastique et capable de s’adapter de zéro à cent selon les besoins, ce qui signifie que même pendant les week-ends, elle se désactivera d’elle-même. C’est aussi simple que cela. Ne dépensez pas là où il n’est pas nécessaire de le faire.
0:26:41 Emily Wearmouth :Lorsque les gens parlent de surallocation, je me demande toujours, vous disposez d’un discours commercial qui tend plutôt à l’optimisme. L’entreprise souhaite donc projeter des plans de croissance et des ambitions d’expansion, mais au sein de l’organisation, vous devez savoir lire entre les lignes pour faire la part entre la fanfaronnade et les déclarations d’intention que vous tenez à faire. Et de manière réaliste, devez-vous concevoir et provisionner en vue d’une croissance agressive, ou pouvez-vous viser un juste milieu, tout en prévoyant une évolutivité suffisante pour vous couvrir en cas de scénario idéal ? Dans quelle mesure faut-il prêter attention aux messages que votre organisation diffuse sur le marché, et dans quelle mesure pensez-vous qu’il faille les nuancer un peu pour éviter la surallocation ?
0:27:22 Seb Leal Bennett :Notre entreprise connaît parfaitement son marché. Ils savent où ils veulent se développer. Nous disposons historiquement des données, si bien que nous connaissons nos pics et que nous pouvons voir où cela augmente de manière générale. Nous savons si un événement ayant un impact sur le marché va créer un New high water mark. Je pense que l'élément clé, et toutes les équipes ne maîtrisent pas cela dans toutes les organisations, concerne vos SLA ou vos attributs de qualité. Que devez-vous concevoir cette application pour qu'elle fasse ? Parce que c’est plutôt important en ce qui concerne également votre conception, le coût. Par exemple, si vous avez un site Web, cette page doit-elle l'afficher en une demi-seconde ou 30 secondes, est-ce acceptable en fait ? Parce que la réponse à cette question modifiera votre architecture, cette architecture détermine le coût, ainsi que la facilité avec laquelle il est possible de l'étendre ou de la réduire.
0:28:09 Seb Leal Bennett:Et si vous ne posez pas ces questions, si vous ne faites pas preuve de curiosité lors de ces échanges avec les métiers, vous risquez soit de surdimensionner votre application, soit de la sous-dimensionner. Il faut donc avoir cette conversation pour s’assurer de taper dans le mille, puis avancer à partir de là. Obtenez simplement ces accords de niveau de service (SLA) et les attributs de qualité pour votre entreprise. Ils savent ce qu’ils veulent en faire, mais vous pouvez aussi opposer un refus. Mais utilisez les données, c’est l’élément clé à partir de là. N’ayez pas une conversation subjective en disant : « Eh bien, je pense que l’analyse des données montre réellement que nous pouvons le prouver. » Nous pensons que, dans l’état actuel des choses, nous pouvons atteindre cette échelle. Et si nous avons besoin de plus, s’il s’agit d’une évolution vers le cloud, la solution devrait simplement s’adapter de manière élastique si vous le pouvez.
0:28:50 Emily Wearmouth:Le point que vous avez soulevé concernant la nécessité pour la page de se charger en une demi-seconde ou en 30 secondes... Mon esprit s’est immédiatement tourné vers l’IA agentique et la manière dont cela pourrait changer les choses. Car si vous concevez des architectures destinées à des humains, nous savons que notre patience, ou du moins ma patience, est assez limitée et que nous voulons que les choses se déroulent très, très rapidement. Mais si ce n’est plus un processus humain qui interagit avec ce parcours architectural, mais un agent, vous pouvez peut-être accepter une plus grande tolérance pour les domaines où ce n’est pas le cas. Tant que le produit final n’a pas besoin d’être super rapide, s’il n’est pas limité par le temps, l’agent disposera peut-être d’une plus grande tolérance pour un cheminement plus lent et vous pourrez faire de plus grandes concessions pour des services moins coûteux.
0:29:34 Seb Leal Bennett :C’est possible, et tout cela ramène à l’expérience utilisateur attendue pour cette fonction particulière. Agentique ou non, c’est cela qui dictera l’architecture. Mais oui, c’est un point intéressant.
0:29:45 Emily Wearmouth :Oui. C’est cadeau de ma part, Seb. Vous pouvez prendre cela. Je vais l’écrire
0:29:51 Seb Leal Bennett :
0:29:51 Emily Wearmouth :Notez. Apporter de la valeur chaque jour. Génial. Bien, j’ai conscience du temps qui passe, mais nous avons pris beaucoup de votre temps et je sais que vous avez une autre réunion. Je vais donc vous remercier chaleureusement, Seb. J’ai énormément apprécié cette conversation et j’espère que nos auditeurs l’ont appréciée également.
0:30:05 Seb Leal Bennett:C’est parfait. Merci de m’avoir invité. J’ai beaucoup apprécié et je suis ravis d’intervenir dans de futures éditions.
0:30:09 Emily Wearmouth :Brillant. Vous avez écouté le podcast Security Visionaries et j’ai été votre animatrice, Emily Wearmouth. Si cet épisode vous a plu, n’hésitez pas à le partager, mais veillez également à nous suivre sur votre plateforme de podcasts préférée ou sur YouTube, afin de ne jamais manquer un futur épisode. Et nous vous retrouverons la prochaine fois.
){kind=icon}
